🇰🇷 한글 설명
Linux 커널의 netfilter nf_conncount 모듈에서 연결 정리(GC) 한계치 설정 문제로 인해 발생한 취약점입니다. jiffy당 생성되는 연결 수가 정리 속도보다 빠를 경우 연결 제한에 잘못 도달할 수 있는 문제가 있었으며, 이를 해결하기 위해 정리 한계치를 64로 상향하고 로직을 최적화했습니다.
💡 쉬운 설명
네트워크 연결을 정리하는 속도가 새로운 연결이 생기는 속도를 따라가지 못해 발생하는 문제입니다. 이로 인해 실제 사용 가능한 연결이 남아있음에도 불구하고 시스템이 연결이 가득 찼다고 오판할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: nf_conncount: increase the connection clean up limit to 64
After the optimization to only perform one GC per jiffy, a new problem
was introduced. If more than 8 new connections are tracked per jiffy the
list won't be cleaned up fast enough possibly reaching the limit
wrongly.
In order to prevent this issue, only skip the GC if it was already
triggered during the same jiffy and the increment is lower than the
clean up limit. In addition, increase the clean up limit to 64
connections to avoid triggering GC too often and do more effective GCs.
This has been tested using a HTTP server and several
performance tools while having nft_connlimit/xt_connlimit or OVS limit
configured.
Output of slowhttptest + OVS limit at 52000 connections:
slow HTTP test status on 340th second:
initializing: 0
pending: 432
connected: 51998
error: 0
closed: 0
service available: YES
📍 영향받는 시스템
Linux kernel (netfilter/nf_conncount 모듈 사용 시스템)
⚔️ 공격 벡터
단시간에 대량의 네트워크 연결을 생성하여 연결 정리 프로세스를 무력화하는 방식 (DoS 유발 가능)
🛡️ 대응 방법
nf_conncount 최적화 패치가 적용된 최신 Linux 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이상인지 확인하십시오.